Was ist das SIG-Dateiformat?
Eine .sig-Datei ist eine losgelöste kryptographische Signatur, die von OpenPGP-kompatiblen Werkzeugen wie GnuPG (gpg) erstellt wird. Anders als eine in ein signiertes Dokument eingebettete Signatur liegt eine losgelöste .sig-Datei separat neben der Originaldatei - zum Beispiel installer.exe zusammen mit installer.exe.sig. Dadurch können Integrität und Authentizität der Originaldatei überprüft werden, ohne sie selbst zu verändern.
Die Signatur wird in einer von zwei Formen gespeichert:
- ASCII-gepänzerter Text - ein für Menschen lesbarer Block, der mit
-----BEGIN PGP SIGNATURE-----beginnt und mit-----END PGP SIGNATURE-----endet; geeignet zum Einfügen in E-Mails oder reine Textkanäle. - Binäres OpenPGP-Paket - eine kompakte Binärform, deren erstes Byte ein Signaturpaket-Tag ist (höchstes Bit immer gesetzt; häufige Werte sind
0x88,0x89oder0xC2).
Um eine .sig-Datei gegen das zugehörige Dokument zu prüfen, führen Sie gpg --verify file.sig file aus. GnuPG gleicht die Daten mit dem öffentlichen Schlüssel des Unterzeichners ab und meldet, ob die Signatur gültig ist und welcher Schlüssel sie erzeugt hat.
Losgelöste .sig-Dateien werden häufig bei der Verteilung von Software-Releases, Betriebssystem-Images und Paketarchiven verwendet und geben Endbenutzern eine zuverlässige Möglichkeit, die Unversehrtheit eines Downloads zu bestätigen. Das Format wird durch den OpenPGP-Standard geregelt, der in RFC 4880 (2007) definiert und durch RFC 9580 (2024) aktualisiert wurde. Verwandte Erweiterungen sind .asc (ASCII-gepänzerte OpenPGP-Ausgabe), .gpg (binäre GnuPG-Daten) und .pgp (PGP-verschlüsselte oder signierte Daten).
Sicherheit
RISIKO: LOWEine losgelöste PGP-.sig ist an sich harmlos - sie enthält keinen ausführbaren Code. Der Sicherheitswert wirkt in die andere Richtung: Eine .sig ist ein Werkzeug, das Sie SCHÜTZT, indem es Ihnen ermöglicht, zu bestätigen, dass ein Download nicht manipuliert wurde. Zwei echte Fallstricke: (1) Die Überprüfung ist nur so vertrauenswürdig wie der öffentliche Schlüssel - laden Sie den Schlüssel des Herausgebers von einem unabhängigen, offiziellen Kanal herunter und bestätigen Sie seinen Fingerabdruck, da ein Angreifer, der sowohl die Datei als auch den Schlüssel ausgetauscht hat, weiterhin 'Good signature' anzeigen könnte; (2) 'Good signature' beweist Integrität und Urheberschaft, nicht dass die Software sicher ist - ein böswilliger Herausgeber kann Malware signieren.
Formatdetails
kurz gefasst- E-Mail-Signaturblock - Mail-Clients speichern den am Ende ausgehender Nachrichten angehängten Standardtext (Name, Titel, Kontaktzeile) als Klartext-.sig - die klassische Unix-'.signature'; reiner Text in einem Editor.
- Broderbund Print Shop-Dokument - Ältere Broderbund-Titel (The Print Shop und verwandte) verwendeten .sig für Schild-/Banner-Projektdateien, die nur in der entsprechenden Broderbund-Software geöffnet werden können.
Programme zum Öffnen von SIG-Dateien
Windows1 app
Gpg4win (Kleopatra + GpgEX)
Open Source Gpg4win installieren, den öffentlichen Schlüssel des Herausgebers importieren, dann Rechtsklick auf die .sig → Weitere GpgEX-Optionen → Überprüfen (oder 'gpg --verify file.sig file' ausführen). 'Good signature' = der Download ist authentisch. 
macOS2 apps
GnuPG (gpg)
Open Source Über GPG Suite oder Homebrew installieren ('brew install gnupg'), den öffentlichen Schlüssel importieren, dann 'gpg --verify file.sig file' im Terminal zur Überprüfung des Downloads.
GPG Suite
Kostenlos Mac-Benutzeroberfläche für GnuPG (GPG Keychain + Services); Schlüssel importieren und die .sig aus dem Finder oder Terminal überprüfen. 
Linux2 apps
GnuPG (gpg)
Open Source Über GPG Suite oder Homebrew installieren ('brew install gnupg'), den öffentlichen Schlüssel importieren, dann 'gpg --verify file.sig file' im Terminal zur Überprüfung des Downloads.
Kleopatra
Open Source GUI-Schlüsselverw altung (KDE); Schlüssel importieren und Signaturen ohne Befehlszeile überprüfen. Technische Details
technische Spezifikation| MIME-Typ | application/pgp-signature |
| Speicherformen | ASCII-gepänzerter Text oder binäres OpenPGP-Paket |
| ASCII-gepänzerter Header | -----BEGIN PGP SIGNATURE----- |
| Binäre Magic Bytes | Signaturpaket-Tag-Byte bei Offset 0 (üblicherweise 0x88, 0x89 oder 0xC2; höchstes Bit immer gesetzt) |
| Verwendungsmuster | Losgelöst - die .sig-Datei wird separat von der zu signierenden Datei gespeichert |
| Datei-Pairing-Konvention | Die Begleitdatei teilt denselben Basisnamen (z. B. archive.tar.gz + archive.tar.gz.sig) |
| Überprüfungsbefehl | gpg --verify file.sig file |
| Unterstützte Hash-Algorithmen | SHA-256, SHA-384, SHA-512, SHA-224; SHA-1 für Legacy-Kompatibilität unterstützt |
| Unterstützte Public-Key-Algorithmen | RSA, DSA, ECDSA, EdDSA (Ed25519, Ed448) |
| ASCII-gepänzerte Kodierung | Base64 mit 76-Zeichen-Zeilenumbruch plus einer CRC-24-Prüfsummen-Abschlusszeile |
| Typische Dateigröße (ASCII-Form) | 300-600 Bytes für eine Einzelschlüssel-Signatur |
| Gilt für genau eine Datei | Jede .sig deckt genau eine Zieldatei ab; bei der Verteilung mehrerer Dateien ist eine .sig pro Datei erforderlich |
| Vertrauensmodell | Web of Trust (WoT) oder OpenPGP CA; die Gültigkeit hängt davon ab, ob der Schlüssel des Unterzeichners lokal vertraut ist |
| Maßgeblicher Standard | OpenPGP - RFC 2440 (1998), RFC 4880 (2007), RFC 9580 (2024) |
| Veröffentlicht | OpenPGP signatures: PGP 1991, standardized as RFC 2440 (1998) / RFC 4880 (2007) / RFC 9580 (2024) |
| Offener Standard | Ja · lizenzgebührenfrei |
| Spezifikation | www.rfc-editor.org |
SIG-Konvertierungen
Community Q&A
von Nutzern gefragtNoch keine Fragen - stellen Sie die erste Frage zu SIG-Dateien.
